SSH その5

**名無しさん＠お腹いっぱい。** · 2006/04/20(木) 07:09:00

SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

過去ログ
　Part1：http://pc.2ch.net/unix/kako/976/976497035.html
　Part2：http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
　Part3：http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
Part4：http://pc8.2ch.net/test/read.cgi/unix/1102242908/

**名無しさん＠お腹いっぱい。** · 2006/07/25(火) 10:58:11

>>216
それじゃファイル消して新しく作られて終わりじゃね?

**名無しさん＠お腹いっぱい。** · 2006/07/25(火) 11:12:53

>>215
自力でコンパイルされたら終わりじゃね?

**名無しさん＠お腹いっぱい。** · 2006/07/25(火) 11:27:05

結局ファイアヲールで防ぐしかないんじゃね？

**213** · 2006/07/25(火) 12:41:59

>>214-219
サンクス。
ファイアウォールで制限する事にしました。妙な方向に考えていたようです。
そもそもの理由は、sshのクライアントとサーバ間でホスト認証＆相互認証を
しようとして、sshd側は、クライアントのホスト公開鍵を/etc/ssh/ssh_known_hostsに
設定し、sshd_configのIgnoreUserKnownHosts,IgnoreRhostsの設定でユーザが故意・事故で
~/.ssh/に変なクライアントからの接続の許可を無視できればＯＫと考えた。
でも、ssh側は、/etc/ssh/ssh_known_hostsにサーバのホスト公開鍵を設定しても、
ユーザの設定（コマンドラインの-o指定や~/.ssh/config）で上書きされてしまったら、
意味がないかな？と思っていた次第です。
（たとえば、鍵指紋を何も考えずにEnter押すようなユーザや、サーバホスト鍵が変更されてる
というワーニングがでたら~/.ssh/known_hostsの該当部分を削除してしまうようなユーザを制限
できたらと考えていたのですが。）

>>216
ちなみに該当ファイルをReadOnlyにしても接続時に「ファイルに書き込むのに失敗した」という
旨のエラーがでるだけで接続自体は行うようです。

**206** · 2006/07/25(火) 15:30:42

>206 のように書きましたが、AllowUsers で
login できるアカウントを制限していたためか
root やら admin やらでアタックを試しているうちは
"login の認証失敗" まで行かないことになって
MaxStartups の縛りが全然発動しないっぽいです… orz

だだだーとアカウントスキャンをかけてくる台・韓の
script kiddy のせいで /var/log/authlog がすげーバッチイまんまですた
(アドレス毎に 10-20行位で収まるようになるのかと思ったのに)

>207
確かに出張時に使う(接続元アドレスバラバラ)、のは私だけなので
port 22 は特定アドレスからの接続だけに限定して
一般の接続用としてはそれもアリかもしれないですね。

**名無しさん＠お腹いっぱい。** · 2006/07/26(水) 21:24:46

sshポートフォワーディングを用いてftpを使いたいのですが、
ffftpで「接続しました。　接続できません。」となってしまいます。

・sshによるパスワード認証ログイン、通常のftpによるログインは可能
・PuTTY0.58-jp20050503でトンネル部分を設定
→L8021 ********.jp:21(左が源ポート、右が送り先）
・ffftpはポート8021、接続先localhost、PASV、FWなしに設定
・サーバはSolaris10、クライアントはWin。
・OpenSSH（Solaris10バンドル）使用。
→Sun_SSH_1.1、SSH プロトコル 1.5/2.0、OpenSSL
・ttp://cl.pocari.org/2006-05-18-1.htmlを見て、
　AllowTcpForwarding yesにしてみました。

アドバイスあれば、よろしくお願いいたします。

**名無しさん＠お腹いっぱい。** · 2006/07/26(水) 22:19:25

出来たら感動ものである

**名無しさん＠お腹いっぱい。** · 2006/07/26(水) 22:25:28

ぐぐればすぐに

**名無しさん＠お腹いっぱい。** · 2006/07/27(木) 17:42:20

RMSを見ならって~を777にしたらログインできなくなりますた。
どうしたらいいですか。

**名無しさん＠お腹いっぱい。** · 2006/07/27(木) 18:18:27

RMSを見習って気に入らない動作はすぐに修整しましょう。

**名無しさん＠お腹いっぱい。** · 2006/07/27(木) 23:38:47

hurd だとどうなるんでしょ :-)

**名無しさん＠お腹いっぱい。** · 2006/07/31(月) 22:42:07

winscpでwin→linuxへファイルを送るとき、送り終わった後に「ファイル・フォルダ '4>2↑?' はありません」といちいちプロンプトが出ます。
ファイルのパスに日本語が含まれるときに出るようですが、これを回避する方法ないですか？

ｽﾚ違いな気もしますが同じssh系ということで、お願いします

**名無しさん＠お腹いっぱい。** · 2006/07/31(月) 23:01:19

スレ違いなら回答するけど板違いなのでどっか行け。

**228** · 2006/07/31(月) 23:48:21

win板の質問スレだとごちゃごちゃしてるし、winscp使ってる人の割合も少ないと思ったもので
即レスするくらいなら答えてくれてもいいのに…

**名無しさん＠お腹いっぱい。** · 2006/08/01(火) 00:12:21

回避する方法はある。
これでいいか?

**名無しさん＠お腹いっぱい。** · 2006/08/01(火) 07:29:56

パスに日本語が含まれないようにすればいい。
それか、comannderモードつかってexplorerとかからドロップしない。

**228** · 2006/08/01(火) 13:06:59

>>232
レスｊどうもです
デスクトップとかからのドラッグドロップをよくやるもんで
いろいろ試しましたが、やはり無理なようですね。この件は諦めることにします

**名無しさん＠お腹いっぱい。** · 2006/08/06(日) 14:14:41

PuttyだとつながるのにPoderosaだとつながらない、という現象が起きて困っています
どなたか解決策お願いします

以下、Poderosaの出力ログです（プロトコルはSSH2、認証方法は「パスワード」です）

[SSH:192.168.123.162] Received: SSH-2.0-OpenSSH_4.2
[SSH:192.168.123.162] Transmitted: SSH-2.0-Granados-2.0
[SSH:192.168.123.162] Transmitted: kex_algorithm=diffie-hellman-group1-sha1; server_host_key_algorithms=ssh-dss,ssh-rsa; encryption_algorithms_client_to_server=aes128-cbc,blowfish-cbc,3des-cbc;
encryption_algorithms_server_to_client=aes128-cbc,blowfish-cbc,3des-cbc; mac_algorithms_client_to_server=hmac-sha1; mac_algorithms_server_to_client=hmac-sha1
[SSH:192.168.123.162] Received: kex_algorithm=diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1; server_host_key_algorithms=ssh-rsa,ssh-dss;
encryption_algorithms_client_to_server=aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour128,arcfour256,arcfour,aes192-cbc,aes256-cbc,rijndael-cbc@lysator.liu.se,aes128-ctr,aes192-ctr,aes256-ctr;
encryption_algorithms_server_to_client=aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour128,arcfour256,arcfour,aes192-cbc,aes256-cbc,rijndael-cbc@lysator.liu.se,aes128-ctr,aes192-ctr,aes256-ctr;
mac_algorithms_client_to_server=hmac-md5,hmac-sha1,hmac-ripemd160,hmac-ripemd160@openssh.com,hmac-sha1-96,hmac-md5-96; mac_algorithms_server_to_client=hmac-md5,hmac-sha1,hmac-ripemd160,
hmac-ripemd160@openssh.com,hmac-sha1-96,hmac-md5-96; comression_algorithms_client_to_server=none,zlib@openssh.com; comression_algorithms_server_to_client=none,zlib@openssh.com
[SSH:192.168.123.162] Transmitted:
[SSH:192.168.123.162] Received: verifying host key
[SSH:192.168.123.162] Received: the keys are refreshed
[SSH:192.168.123.162] Transmitted: ssh-userauth
[SSH:192.168.123.162] Transmitted: starting password authentication
[SSH:192.168.123.162] Received: user authentication failed:publickey,keyboard-interactive

**名無しさん＠お腹いっぱい。** · 2006/08/06(日) 14:16:56

失礼、あげておきます

**名無しさん＠お腹いっぱい。** · 2006/08/06(日) 14:35:41

元 Vera 使いだけど、キーボードインタラクティブの有効無効とか無いの？

**名無しさん＠お腹いっぱい。** · 2006/08/06(日) 14:48:32

KeyboardInteractiveも可能なのですがPassword入力後無反応になってしまいます
（イベントログもpassword入力後出力無し）

なんか情報小出しですみません

**名無しさん＠お腹いっぱい。** · 2006/08/06(日) 14:59:40

板違いだと思うんだが。

**名無しさん＠お腹いっぱい。** · 2006/08/06(日) 17:20:34

SSH の問題ならここでもいいと思うけどよくわからんな
一応貼っとくか

Poderosa使ってる奴いる？
http://pc8.2ch.net/test/read.cgi/mysv/1137596282/

**名無しさん＠お腹いっぱい。** · 2006/08/07(月) 14:49:47

keyboard-interactive認証とpassword認証の違いって何ですか？

ググったら↓を見つけましたが、これで合ってるんですか？
ttp://www.ss.ics.tut.ac.jp/oda/diary/?date=200509
＜以下、引用＞
keyboard-interactiveはサーバが直接仮想端末を制御して、パスワードを読み込むのに対して、
passwordはクライアント側が任意の方法でパスワードを読み込んでサーバに渡すらしい。
普通に端末から使う分にはあまり違いを意識することはないと思うが、sshを実行したプログラムが
(仮想)端末を持たない場合(Eclipseからssh経由でcvsを使う場合など)はpassword認証だと
SSH_ASKPASS が使えるという違いがある。というか、多分違うのはこれくらい。

**名無しさん＠お腹いっぱい。** · 2006/08/07(月) 23:26:46

>>240
> keyboard-interactive認証とpassword認証の違いって何ですか？

password認証ってのはRFC4252の8章で定義されているやつで、
ぶっちゃけて言えば、ただ一回だけClientからServer宛てに
パスワード入りのパケットを投げつけて認証の成否を決めるやり方だ。
ttp://www.ietf.org/rfc/rfc4252.txt

対するkeyboard-interactive認証はRFC4256で定義されていて、
認証できるまでClientとServerの間で任意の回数・任意の個数の
メッセージをやりとりできる方法だ。
PAMのように複雑な状態遷移を持つ認証方法をssh上で行うことができるように、
password認証を拡張した方法ってことになる。
ttp://www.ietf.org/rfc/rfc4256.txt

> ググったら↓を見つけましたが、これで合ってるんですか？
> ttp://www.ss.ics.tut.ac.jp/oda/diary/?date=200509

なんじゃそりゃ。
そんな無茶苦茶な説明なんか参考にしないで、RFC読め。

**240** · 2006/08/08(火) 19:14:33

>>241
＞なんじゃそりゃ。
＞そんな無茶苦茶な説明なんか参考にしないで、RFC読め。
おお、やはりガセでしたか。
本家（特に英語の）の説明を読むのはどうも億劫で、ついググって分かりやすく解説してるサイトを探しがちで…
やはりこういうのは公式のを読まなきゃだめっすね。猛省します。
ありがとうございました。

**名無しさん＠お腹いっぱい。** · 2006/08/11(金) 00:15:14

質問です。
【環境】
クライアント putty <==> FW <==> サーバ openSSH3.9 鍵認証方式

sshdの待機ポートをわけあって2つ(22, HOGE)にしたいと思っています。
そこでsshd_config内に
---------------------------------------
Port 22
Port HOGE
---------------------------------------
を追加し、sshdの再起動を行いました。
クライアントから接続すると、22番では接続可能なのですが、HOGEでは接続出来ません。
サーバのパケットダンプ(tcpdump tcp port HOGE -n)を見ると、サーバには届いているように見受けられます。
しかしputtyのログをみると、サーバには届いていて、sshdのバージョン情報？までは取れているのにもかかわらず、認証手続きが始まらない状態です。
サーバ側で"netstat -pln"、"nmap サーバのIP"等で確認しましたが、22：HOGEポートはLISTEN状態でした。
サーバ側の"/var/log/secure"、"/var/log/message"等には何も出力されていませんでした。
FWのポートが開いている事は確認済みです。
現在手元に環境が無いので詳細を書くことは出来ませんが、どなたか原因がわかる方はいらっしゃらないでしょうか？

**名無しさん＠お腹いっぱい。** · 2006/08/30(水) 03:02:29

global-IPからは鍵認証
local-IPからは鍵もしくはパスワード認証

ってのをやろうとしたら、やっぱりsshd二つ動かすのが近道になっちまう？

**名無しさん＠お腹いっぱい。** · 2006/09/02(土) 00:31:32

fall back to password でいいんじゃないの?

あるいは、-o PasswordAuthentication とか。

**名無しさん@お腹いっぱい** · 2006/09/03(日) 15:23:29

4.4p1そろそろみたいね。
春山さんのところに出てた話で、予定されてる追加機能("Match"命令)興味あるなぁ。
パッチ当てずにchroot出来るならその方が良いんだが、どうなんだろう?
ちょっぴり期待

**名無しさん＠お腹いっぱい。** · 2006/09/10(日) 01:01:57

　　　　　　　　　　　　　　　＿∧＿∧＿∧＿∧＿∧＿∧＿∧＿∧＿
　　　　　ﾃﾞｹﾃﾞｹ　　　　　　|　　　　　　　　　　　　　　　　　　　　　　　　　|
　　　　　　　　ﾄﾞｺﾄﾞｺ　　＜　新バージョン4.4(p1)まだーーーーーーーー！！？　＞
　　　☆　　　　　　ﾄﾞﾑﾄﾞﾑ　|＿　＿　＿　＿　＿　＿　＿　＿　＿　＿|
　　　　　　　 ☆　　　ﾀﾞﾀﾞﾀﾞﾀﾞ! ∨　 ∨　∨　∨　∨　∨　∨　∨　∨
　　ﾄﾞｼｬｰﾝ!　　ヽ　　　　　　　　　ｵﾗｵﾗｯ!!　　　 ♪
　　　　　　　　　＝≡＝　∧＿∧　　　　　☆
　　　　　　♪ 　　／　〃（･∀･ #）　　　　/　ｼｬﾝｼｬﾝ
　　　　♪　　　〆　┌＼と＼と.ヾ∈≡∋ゞ
　　　　　　　　　|| 　γ ⌒ヽヽコノ　　||
　　　　　　　　　||　ΣΣ 　.|:::|∪〓　||　　　♪
　　　　　　　 .／|＼人＿.ノノ _||_.　／|＼
　　　　　　　　　ﾄﾞﾁﾄﾞﾁ!

（※出典：ttp://dokoaa.com/mada-.html）

**名無しさん@お腹いっぱい** · 2006/09/10(日) 09:08:41

>247
ﾄﾞﾗﾑうまいねぇ

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 05:14:30

社内に設置してあるサーバーの管理を任されたのですが
社員が数人、外部からSSHで接続することもあり
動的IPの人もいるのでIP制限をするわけでもなく
IDとパスワードさえあれば、どこからでも入れてしまいます。

一週間ログを取ってみたら毎日、辞書アタックや
ブルートフォースを食らっているのでiptablesで何らかの対応するか
公開鍵認証にしたほうがいいと上司に提案したのですが
それくらいのアタックなら大丈夫と言われました。

いくら乗っ取られる確率が低いといっても
いつ当たりを引くかわからないと思うのですが
僕が間違ってるのでしょうか

ちなみに顧客の個人情報を扱ってるサーバーです･･･

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 07:29:07

上司を張った押してでも、セキュアな設定をしてしまえ

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 07:43:47

> それくらいのアタックなら大丈夫と言われました。
しらばっくれる可能性大なので、大丈夫と判断した根拠を文書で
貰っときましょう。

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 07:48:21

>それくらいのアタックなら大丈夫と言われました。
興味があるんで、その上司の歳と簡単な経歴が知りたい

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 09:52:47

>>249
そういうやりとりはメールでやって、証拠を残しとくもんだ。

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 13:48:34

上司の言質を取った上で、アタックで侵入されたログをでっち上げるべし。
責任はすべて上司へ。（管理職は責任をとるためにいる）

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 14:05:27

>>250
それも有りなんですが
勝手に設定を変えて作業報告すらしてくれない人なので･･･
何度か不具合を起こしてサービス不能な状態になりました

>>251 >>253
文書を残すのは大事ですよね
メールもロクに投げてくれないような会社なので
自分だけはしっかりやっておこうと思います

>>252
30歳くらいでサーバーの実務経験は長いようです
自分の方が若い上に実務経験があまりないので
あまり意見を聞いてもらえません

>>254
危険性を認識させる必要はありますね･･･
大丈夫だと思っていても
実際に事故が起きて後悔する人って多いですからね

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 17:33:54

弱いパスワードのユーザをしらべておくくらいのことはしておいたほうが

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 17:47:08

sshでやられたケースって、
安易なユーザ名＋安易なパスワードが9割以上じゃないのか？

最近のsshへの総当りって、辞書使って攻撃して、辞書が尽きたら諦める
つまり、辞書でヒットしなかったら、ヒットする他のサイト探した方が速いって考え方なんで、
ユーザ名もパスワードも記号の羅列になっているような物はまず侵入されない。

まぁ、漏れの所は、日本以外弾いて、更に、一度攻撃してきたところはネットワーク毎弾いてるけど。

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 17:49:02

sshでログインするユーザーは数名というなら、それだけを許可する設定に変えると良い。

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 18:16:17

>>256
それを上司や経営者に断りなくやってクビになった人が居るお

**名無しさん＠お腹いっぱい。** · 2006/09/18(月) 18:18:34

ともかく上司がそういう方針なら仕方ない。
証拠を集めて説得する事が出来ればいいが、たいていは無駄。
もっと上の人間に直訴するか辞めるか。辞めるなら求人難の今だと思うがな。

**名無しさん＠お腹いっぱい。** · 2006/09/20(水) 21:01:22

>>260
今は求人難なの？

**名無しさん＠お腹いっぱい。** · 2006/09/20(水) 22:33:13

募集をしても人が来ない。コンビニでさえ人手不足。
年収1000万以上の技術者になると、恐らく言い値で雇ってもらえる。

即戦力じゃなくても再教育して使えるならOK、雇ってしまえ　という所さえある。

いろいろな意味で淘汰されるな。

**名無しさん＠お腹いっぱい。** · 2006/09/20(水) 23:31:45

>>262
へー
年収1000万以上の技術職なんて紹介して欲しいぐらいだけど

**not 262** · 2006/09/20(水) 23:38:50

年収1000万以上の技術職ってザラに居るよ。オレもそうだし、、

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 20:54:44

sshでの接続は特定の際とからしか許可していないのに、しつこく
接続しようとする馬鹿ものがいる。例えば 221.141.3.52 とか、
221.224.8.88 とか。こういう奴らは何を考えているのだろうか？

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 21:05:37

CN, China とか KR, Korea, Republic of とか

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 21:09:41

>>265
す～ぱ～はか～に狙われた（(；ﾟДﾟ)ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 22:59:27

iptablesなどでアドレス範囲まとめてポアしる
チョン・シナのアドレスをリストしてるとこはググれば見つかる

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 23:09:09

三国人フィルタでぐぐれ

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 23:45:29

だから特定のサイトからしか接続できないのよ。
当然、中国や韓国などからは接続拒否しているよ。
それにも関わらず、接続を試みようとするのはどういう
馬鹿ものなのかという質問なのだが。

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 23:50:18

何を考えてるのかって言われても、
何も考えずスクリプト回してるだけっしょ。

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 23:55:18

スクリプト回すというか、そのホストがbot化され、
クラッカーにいいように使われてるだけだろうな

**名無しさん＠お腹いっぱい。** · 2006/09/21(木) 23:59:11

自分が意図しない不要な接続だと思ったらとっととDENYしちゃえばいいのに
それにも関わらず、２ｃｈでその意図を聞こうとするのはどういう
馬鹿ものなのか

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 00:01:32

http://www.dayomon.net/fw/iptables.txt

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 00:07:54

>>274
だよもんｷﾀｰ、だよもん

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 02:35:51

>>270
アタックかけてる側は、接続拒否されてるかどうかなんて分かんないし。
馬鹿？

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 07:13:39

PasswordAuthentication no なら問題なし

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 07:19:54

接続拒否と接続無視は違うのだが。

もちろん、PasswordAuthentication noだし、AllowUsersも
設定している。

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 08:03:18

これ以上何が聞きたいんだか

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 09:38:48

そんなことはどうでもいいから、接続元IPによってconfig切り替えれる機能付けてくれよ

bindみたいに書けると完璧

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 09:58:29

ローカルネットワークからはパスワード
それ以外からは公開鍵認証にしたいのですが
どうすればできますか？

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 10:09:25

ローカルアドレスとそれ以外のアドレスでlistenする複数のsshdを起動しとけばよい。

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 11:01:15

ちょっと質問があります。

まず、前提条件として、以下の点について質問させてください。
パスワード認証を使わず、公開鍵認証で接続を行う場合、
クライアント側に秘密鍵を置く必要がありますよね。

その上で質問です。接続するクライアントA、サーバーとBとCがあった場合、

　クライアントA → サーバーB → サーバーC

と言ったように、多段に接続したいのですが、
（サーバーBには直接接続できない）

・秘密鍵をクライアントAにだけおき、サーバーBにおきたくない
・できるだけ簡単に接続する方法はないか

といったようなことはできますでしょうか？

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 11:28:29

>>283
ssh-agentのフォワード機能で普通にできる。
設定によっては ssh -A のオプションが必要。

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 11:37:55

置かないというのはできる。
ssh(1)
-A Enables forwarding of the authentication agent connection. This
can also be specified on a per-host basis in a configuration
file.
Agent forwarding should be enabled with caution. Users with the
ability to bypass file permissions on the remote host (for the
agent's Unix-domain socket) can access the local agent through
the forwarded connection. An attacker cannot obtain key material
from the agent, however they can perform operations on the keys
that enable them to authenticate using the identities loaded into
the agent.
しかし、Bの特権を持っている人は秘密鍵を使うことは出来る(秘密鍵本体は盗めない)。
俺は、秘密鍵を使う時はポップアップで確認するようputtyのpagent(authentication
agent)を改造してつかっている。

**283** · 2006/09/22(金) 11:41:06

＞（サーバーBには直接接続できない）
ごめん違った
　（サーバーCには直接接続できない）
でした

**283** · 2006/09/22(金) 14:32:59

調べたら、いろいろでてきました。

cl.pocari.org - connect を使って簡単に多段 SSH を実現する方法
http://cl.pocari.org/2006-09-04-2.html
connect.cを使う方法

cl.pocari.org - SSH で多段接続？
http://cl.pocari.org/2004-12-19-1.html
ssh-agentを使う方法

cl.pocari.org - SSH でポートフォワード
http://cl.pocari.org/2005-01-24-2.html
wakaran

どれが簡単な方法か、試してみようと思います。
-A使う方法がいまいちわかりませんが、また調べてみます

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 14:44:27

>>287
せっかく回答もらってるのにそれは無視かい?
余計なこと調べなくていい。
ssh-agent 実行済みで、ふつうに ssh hostB ができる状態で、
ssh -A hostB するだけ。
で、hostB において ssh hostC すればそのまま入れる。
それだけ。

**283** · 2006/09/22(金) 15:57:33

>>288
ごめんなさい。
そっちでやってみます。

**283** · 2006/09/22(金) 16:54:14

$ ssh-agent bash
$ ssh -A (hostB) -i (hostCの秘密鍵)
パスフレーズ入力
hostBのパスワード入力

hostBで、
$ ssh hostC
Permission denied (publickey).
と言われました？
んんん。

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 16:59:37

>>290
おまえ、ssh-agent自体の使い方知らんのちゃうか?

$ ssh-agent bash
$ ssh-add
(パスフレーズ入力)

$ ssh -A hostB

hostB$ ssh hostC

hostC$

↑これだけだよ。

**283** · 2006/09/22(金) 17:05:15

>>291
いけました！

$ eval `ssh-agent`
$ ssh-add (hostCの秘密鍵)
(パスフレーズ入力)
$ ssh -A hostB

hostB $ ssh hostC

で、おｋですね。

ssh-agentで、秘密鍵を覚えさせとかないといけないんですね

つきあっていただいて、ありがとうございました。

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 18:34:25

3段活用できませんかね
host1 -> host2 -> host3 -> host4
を1発でログインできたりといった感じで…

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 20:51:50

ssh -A host2 ssh -A host3 ssh host4

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 20:58:22

>>294
やってみればわかるけど、それだと「無端末」状態になるので、
シェルのプロンプトは出ないし、viとか画面制御系コマンドが起動できないし、
とにかく、普通にsshで直接ログインしたのとは違う状態になるよ。

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 21:09:44

んなら
ssh -A -t host2 ssh -A -t host3 ssh -t host4

**名無しさん＠お腹いっぱい。** · 2006/09/22(金) 23:48:27

多段sshを一発でやる方法があったのか

いいこと知った

**283** · 2006/09/22(金) 23:56:45

わおｗ

> $ ssh -A hostB
> hostB $ ssh hostC
これは、

$ ssh -A -t hostB ssh -t hostC

でいけるんですね。
すげｗ
evalとこもshellにでもしたらもっと楽になるな

**名無しさん＠お腹いっぱい。** · 2006/09/23(土) 00:01:40

多段でscpしようとおもったらどうすれば？

**名無しさん＠お腹いっぱい。** · 2006/09/23(土) 00:08:37

がんばりなさい

**名無しさん＠お腹いっぱい。** · 2006/09/23(土) 00:23:32

ssh -A host2 ssh -A host3 ssh host4 tar cf - hoge| tar -vf -

**名無しさん＠お腹いっぱい。** · 2006/09/23(土) 00:35:13

>>301
tar -v ??

あと、tarはscpじゃないし。

**名無しさん＠お腹いっぱい。** · 2006/09/23(土) 01:31:30

> 299

scp -oProxyCommand='ssh hostA netcat hostB 22' file hostB:

なんて、どう？

**名無しさん＠お腹いっぱい。** · 2006/09/23(土) 01:34:53

昔、多段sftpやろうとしたらcore吐いて落ちた

**名無しさん＠お腹いっぱい。** · 2006/09/24(日) 16:25:59

sshdに対するアタックを減らすために、ポート番号を22以外に変更したいのですが、
どこで設定すればよいのでしょうか？

**名無しさん＠お腹いっぱい。** · 2006/09/24(日) 16:28:25

>>305
sshd_configに記述、または sshdの起動スクリプトで sshd -p オプションで指定。

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 07:31:28

鍵+パスフレーズを利用してsshを利用しているのですが、
ログインに時間がかかります。
12、13秒ほどかかります。

これって、こういうものですか？

鍵は、DSA 768bitです。
パスフレーズは、8文字程度です。

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 07:32:54

すいません、マシンのスペック書き忘れました。

ローカルホスト： PentiumD 3GHz、メモリ 2GB
リモートホスト： Celeron(R) 2.53GHz、メモリ 512MB

です。

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 07:34:40

一応、sshのバージョンも
ローカルホスト：ssh cygwin OpenSSH_4.3p2, OpenSSL 0.9.8b 04 May 2006
リモートホスト：sshd OpenSSH_4.2p1 Debian-7ubuntu3, OpenSSL 0.9.8a 11 Oct 2005

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 08:01:03

>>307
DNS まわりじゃないの？
サーバ側でクライアントの IP アドレスを逆引きできないとか。

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 08:38:01

本当にDNS逆引きが原因だった場合は、
↓を読んで、環境を晒してしまったことを後悔しましょう。
http://pc8.2ch.net/test/read.cgi/unix/1159025791/13

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 08:51:47

>>310
問題なく逆引きできました。
サーバーもクライアントも、DNSに登録されています。

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 08:52:20

>>311
これくらいの情報で、個人が特定できるものなんでしょうか・・・

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 13:14:22

DNS まわりが原因の場合は12,3秒では済まない。
普通は分のオーダーになる

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 14:13:59

>>307

sshd_configに

UseDNS no

って書くと早くなるかも。

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 14:47:15

PasswordAuthentication

をオプションで明示してみれば? fall back が遅いのであれば、-v で大体検討はつくので試してみるべし。

ssh って、packet lengthあたりにバグが残っていて巨大なパケットを吐いている形跡なくない?

**名無しさん＠お腹いっぱい。** · 2006/09/25(月) 19:31:30

ssh でユーザー認証できないと言われ、
ログインできないユーザーがあるのですが、どういったことが考えられますか？

・公開鍵を使っている
・同じ鍵で、別ユーザーではログインできている
・AllowUsers/DenyUsersは、sshd_configに書いていない。
・PasswordAuthentication = noで、パスワード入力は許可していない。
しかし、PasswordAuthentication = yesのときは、普通に入れた。